go get 默认升级传递依赖是因为Go Modules采用最小版本选择（MVS）策略，为满足所有依赖方的约束，自动拉取间接依赖的最新兼容版本；该行为非bug，而是确保构建图一致性的设计机制。
为什么 go get 默认会升级传递依赖
go get 的默认行为是满足语义化版本约束的前提下，拉取最新兼容版本——这包括你没直接 import 的间接依赖。比如 github.com/gin-gonic/gin 依赖 golang.org/x/net，当你运行 go get github.com/gin-gonic/gin@v1.9.1，Go 也会顺带把 golang.org/x/net 升到它当前要求的最新 patch 版本（如 v0.25.0），哪怕你代码里完全没碰过这个包。
这不是 bug，而是 Go Modules 的“最小版本选择”策略：整个构建图中，每个模块路径只保留一个版本，且必须满足所有依赖方的要求。问题在于，这个自动选择常被忽略，导致 go.mod 每次 go get 后都意外变动。
- 想只更新显式依赖、不动间接依赖？用
go get -u=patch或go get -u=minor，它们不会跨 major 升级，也更少波及深层依赖 - 想彻底禁止任何自动升级？别用
go get -u，改用go mod edit -require手动加 require 行，再跑go mod tidy -
go mod tidy本身不升级版本，只做“补全+清理”；但若你删了某 require 行又没go mod tidy，下次go build可能重新拉进来——所以 tidying 是必要收尾动作
如何锁定某个传递依赖的具体版本
Go 不允许你在代码里“引用但不 import”，所以无法靠 import 强制引入一个传递依赖。但你可以把它变成显式依赖：直接在 go.mod 里加一行 require，哪怕项目里根本没用它。
例如你想固定 golang.org/x/sys 为 v0.18.0（因为某间接依赖用它，而你发现 v0.19.0 有 runtime panic）：
立即学习“go语言免费学习笔记（深入）”；
require golang.org/x/sys v0.18.0
然后运行 go mod tidy。Go 会检查这个版本是否能满足所有依赖链，如果冲突，会报错并终止；如果能，就把它锁死在 go.sum 中，后续构建不再变动。
- 不要手动改
go.sum——它由 Go 工具自动生成，手改会导致校验失败 - 加完
require后务必go mod tidy，否则该版本不会被下载，go build时仍可能 fallback 到其他版本 - 用
go list -m golang.org/x/sys验证当前解析版本，用go mod graph | grep sys查谁引入了它
replace 和 exclude 在传递依赖场景下的真实作用边界
replace 和 exclude 是紧急兜底手段，不是常规版本控制方式。它们只影响模块解析阶段，不改变依赖图的语义合法性。
比如你发现 github.com/some/lib 的 v1.5.0 在某个间接依赖链里引发 panic，而上游还没发修复版。这时可以：
- 临时替换为本地修复分支：
replace github.com/some/lib => ./fix-branch，然后go mod tidy——注意，这会让所有依赖它的包都用你的本地代码，包括间接依赖 - 慎用
exclude：它只是告诉 Go “忽略这个 require 行”，但如果某依赖硬性需要它，构建会直接失败，而不是静默跳过 -
exclude不能用于解决版本冲突，只能规避已知严重 bug 的特定版本（例如exclude github.com/bad/lib v1.4.0），且必须配合go mod tidy才生效 - CI 中禁用
replace和exclude：它们破坏可复现性，应仅限本地开发调试
go.sum 变动频繁时该怎么判断是否可信
go.sum 变动本身不等于出问题，它只反映“某个模块内容哈希变了”。常见可信变动原因包括：
- 远程仓库强制重写了 tag（如
v1.2.3对应的 commit 被 rebase） - 你切换了
GOPROXY（比如从https://proxy.golang.org切到私有代理），不同源返回的 zip 包压缩方式不同，哈希值自然不同 - 模块作者发布了新 patch 版本，且你运行了
go get或go mod tidy
不可信变动的信号是：go build 报 checksum mismatch，或 go mod verify 失败。此时要检查：
- 是否有人手动修改过
go.sum？Git blame 一下 - 是否本地缓存损坏？试
go clean -modcache && go mod download - 是否
GOSUMDB=off被误设？这会跳过校验，让恶意包有机可乘
真正容易被忽略的是：go.sum 必须进 Git，且每次 go mod tidy 后都要提交——它不是“辅助文件”，而是构建一致性的最后一道防线。
